Массовый взлом PostgreSQL для криптоджекинга: >1500 серверов уже под ударом, используется бесфайловый запуск

Исследователи Wiz обнаружили новую итерацию кампании по взлому PostgreSQL серверов, смотрящих в интернет и защищенных слабыми/угадываемыми паролями. Атаку связывают с группировкой JINX-0126, которая эволюционировала по сравнению с предыдущими атаками (замеченными Aqua Security). Теперь используются уникальные хеши бинарников для каждой цели и бесфайловый запуск майнера, вероятно, для обхода CWPP-решений, проверяющих репутацию файлов. Масштаб проблемы огромен: анализ кошельков показал более 1500 вероятных жертв, что говорит о высокой распространенности незащищенных инстансов PostgreSQL (по данным Wiz, треть self-hosted PostgreSQL в облаках доступны из интернета).

Технически, первоначальный доступ получают через стандартные или слабые креды, а затем эксплуатируют функцию COPY ... FROM PROGRAM для выполнения шелл-команд. После базовой разведки (whoami, uname) выполняется Base64-закодированный скрипт. Этот скрипт сначала терминирует процессы известных конкурирующих майнеров (kinsing, kdevtmpfsi и др.) и загружает первый бинарник pg_core (используя curl, wget или фоллбэк на /dev/tcp), который затем сразу выполняется и удаляется.

Далее загружается обфусцированный Golang-бинарник postmaster (упакован модифицированным UPX), маскирующийся под легитимный процесс PostgreSQL. К нему добавляется зашифрованная AES конфигурация (с инфо о жертве, кредах, кошельке атакующего). Этот postmaster обеспечивает персистентность через cron (запуск каждую минуту), правит pg_hba.conf для разрешения подключений с внутренних сетей (trust для 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), создает нового суперюзера psql_sys с хардкодным паролем (CREATE ROLE psql_sys WITH LOGIN SUPERUSER...) и понижает привилегии дефолтного юзера admin (ALTER USER "admin" WITH NOSUPERUSER...).

Наконец, postmaster записывает на диск еще один Golang-бинарник cpu_hu (также упакован UPX, с уникальной конфигурацией майнера в конце файла). cpu_hu скачивает последнюю версию майнера XMRig-C3 с GitHub, создает временный конфиг в /tmp и запускает майнер бесфайлово, используя технику memfd (T1620). После этого cpu_hu клонирует себя в дочерний процесс и удаляет оригинальный файл с диска. Использование memfd и уникальных хешей для postmaster и cpu_hu усложняет их обнаружение сигнатурными методами.

Получается, если ваш PostgreSQL торчит в интернет с паролем 'password123', то вы не только храните данные, но и щедро спонсируете майнинг Monero на CPU

Источник: vk.com

Комментарии: